Un collaborateur copie un contrat dans une IA pour le résumer. Une commerciale lui confie la liste des objections d’un grand compte. La direction colle les chiffres du trimestre pour préparer une présentation.
Chaque geste semble anodin. Ensemble, ils créent pourtant un nouveau risque : des informations importantes quittent le cadre habituel de l’entreprise sans règle commune.
Interdire toute IA est rarement réaliste. Laisser chacun décider seul ne l’est pas davantage. Une PME peut commencer avec un cadre très simple : classer les usages en vert, orange et rouge avant de saisir la moindre donnée.
Pourquoi les PME ont besoin d’une règle simple
La sécurité ne doit pas dépendre de la capacité de chaque salarié à interpréter trente pages de conditions générales. Il faut une question que l’on puisse se poser en dix secondes : « Si cette information était envoyée par erreur à un tiers, quel serait le dommage ? »
L’ANSSI recommande une posture de prudence lors du déploiement d’une IA générative. La CNIL invite les entreprises à vérifier la gestion des données, à limiter les informations confiées aux outils et à maintenir une validation humaine.
La règle du feu tricolore traduit ces principes en réflexe quotidien. Elle ne remplace pas une analyse juridique ou informatique. Elle permet de savoir quand avancer, anonymiser ou s’arrêter.
Vert : les informations publiques ou sans enjeu
Une donnée verte pourrait être publiée sur votre site sans créer de problème particulier.
Exemples :
- reformuler une présentation déjà publique ;
- résumer un article accessible en ligne ;
- imaginer le plan d’une publication à partir d’un thème général ;
- corriger l’orthographe d’un texte sans nom ni information confidentielle ;
- créer une checklist générique pour préparer un événement.
Même en zone verte, vérifiez le résultat. Une IA peut produire une réponse convaincante mais inexacte, mélanger des sources ou inventer une référence.
Le bon réflexe : demander à l’outil de signaler ses incertitudes et contrôler les faits avant toute publication.
Orange : les informations internes que l’on peut anonymiser
Une donnée orange est utile pour obtenir une réponse pertinente, mais elle ne doit pas être transmise telle quelle à un service non validé.
Exemples :
- retours clients contenant un nom ou une adresse email ;
- notes de réunion internes ;
- devis, propositions commerciales et procédures ;
- chiffres d’activité non publiés ;
- CV et informations relatives à des candidats ;
- extraits d’un CRM.
Avant utilisation, retirez les noms, coordonnées, numéros de dossier, montants identifiants et détails permettant de retrouver une personne ou une entreprise. Remplacez-les par des rôles : « Client A », « Fournisseur B », « responsable commercial ».
Mais attention : supprimer le nom ne suffit pas toujours. « Le seul cardiologue de telle commune, âgé de 62 ans » reste identifiable. L’anonymisation doit porter sur l’ensemble du contexte.
Le bon réflexe : si le résultat reste utile avec moins d’informations, retirez-les. La meilleure donnée à protéger est celle que vous ne transmettez pas.
Rouge : les informations qui ne doivent pas entrer dans un outil grand public
Une donnée rouge peut exposer une personne, fragiliser l’entreprise ou violer une obligation légale ou contractuelle.
Exemples :
- mots de passe, clés d’accès et identifiants ;
- données bancaires ;
- données de santé ou informations RH sensibles ;
- contrats confidentiels et dossiers juridiques ;
- secrets de fabrication, code propriétaire ou stratégie non publique ;
- données personnelles en volume ;
- informations couvertes par un accord de confidentialité.
En cas de doute, ne collez rien. Demandez l’avis de la personne responsable de la sécurité, de la protection des données ou du contrat concerné.
Le bon réflexe : travailler sur une version fictive ou un extrait entièrement neutralisé, ou utiliser une solution professionnelle préalablement validée et configurée.
Le test des quatre questions avant chaque copier-coller
Avant d’utiliser une IA, posez-vous ces quatre questions :
- Cette information est-elle publique ? Si oui, elle est probablement verte.
- Permet-elle d’identifier une personne, un client ou un partenaire ? Si oui, anonymisez ou arrêtez-vous.
- Suis-je autorisé à la transmettre à un prestataire externe ? Relisez les contrats et règles internes.
- Puis-je obtenir un résultat utile avec moins de données ? Si oui, réduisez immédiatement le contenu.
Cette dernière question est la plus puissante. On donne souvent trop de contexte par confort, pas par nécessité.
La technique du « faux dossier »
Pour tester un usage sans risque, fabriquez un exemple réaliste mais fictif. Remplacez les noms, montants, dates et particularités par des données inventées. Vérifiez d’abord si l’IA produit la bonne structure.
Si le test est concluant, vous saurez quelles informations sont réellement nécessaires. Dans beaucoup de cas, un modèle, une catégorie ou quelques variables suffisent ; le document original n’a jamais besoin d’être transmis.
Cette technique est particulièrement utile pour créer une trame de réponse client, une grille d’analyse de devis ou un format de compte rendu.
Une mini-charte IA d’une page suffit pour commencer
Votre première charte interne peut tenir sur une page :
- les outils autorisés ;
- les usages verts, orange et rouges ;
- la personne à consulter en cas de doute ;
- l’obligation d’anonymiser ;
- l’obligation de vérifier les résultats ;
- l’interdiction de publier automatiquement ;
- la marche à suivre en cas d’erreur.
Ajoutez trois exemples tirés de votre propre activité. Une règle concrète sera mieux appliquée qu’un principe abstrait.
Qui reste responsable d’un contenu produit avec l’IA ?
L’outil ne signe ni le devis, ni le post, ni la réponse envoyée au client. L’entreprise reste responsable de ce qu’elle utilise et diffuse.
La validation humaine ne consiste donc pas à relire rapidement la grammaire. Elle doit contrôler les faits, le contexte, les droits, les promesses et l’effet possible sur la personne concernée.
Pour une décision sensible — recrutement, crédit, santé, droit, sécurité ou évaluation d’une personne — l’IA ne doit jamais devenir un raccourci aveugle. Faites intervenir les compétences appropriées.
Utiliser l’IA avec confiance, pas avec naïveté
Le bon cadre n’empêche pas l’expérimentation. Il la rend possible sans faire porter tout le risque à chaque collaborateur.
Vert : j’avance et je vérifie. Orange : je réduis, j’anonymise et je contrôle. Rouge : je m’arrête et je demande.
Trois couleurs ne règlent pas toutes les questions de cybersécurité ou de conformité. Mais elles installent le réflexe essentiel : avant de demander ce que l’IA peut faire de la donnée, se demander ce que la donnée peut révéler sur l’entreprise.
Vous souhaitez intégrer l’IA dans votre communication avec un cadre clair et une vraie direction créative ? Découvrir mon expertise IA.